Security headers

HTTP security headers zijn instructies die je server naar de browser stuurt om je site te beschermen tegen aanvallen.

CSP bepaalt welke bronnen de browser mag laden. Dit beschermt tegen XSS (Cross-Site Scripting) aanvallen.

Content-Security-Policy: default-src 'self'; script-src 'self' 'nonce-abc123';

Let op: Vermijd unsafe-inline en unsafe-eval - deze maken je CSP minder effectief.

HSTS dwingt de browser om alleen HTTPS te gebruiken.

Strict-Transport-Security: max-age=31536000; includeSubDomains

Voorkomt dat je site in een iframe wordt geladen (beschermt tegen clickjacking).

X-Frame-Options: DENY

Voorkomt MIME type sniffing.

X-Content-Type-Options: nosniff

Bepaalt hoeveel informatie wordt meegestuurd bij het klikken op links.

Referrer-Policy: strict-origin-when-cross-origin

Beperkt welke browser features je site mag gebruiken.

Permissions-Policy: camera=(), microphone=(), geolocation=()